JP4197710B2

JP4197710B2 - 暗号装置、復号装置、プログラム及び方法

Info

Publication number: JP4197710B2
Application number: JP2006197488A
Authority: JP
Inventors: 浩一郎秋山; 泰宏後藤
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2006-07-19
Filing date: 2006-07-19
Publication date: 2008-12-17
Anticipated expiration: 2026-07-19
Also published as: JP2008026498A; US20080019511A1

Description

本発明は、公開鍵暗号システムに用いられる暗号装置、復号装置、プログラム及び方法に関する。

代表的な公開鍵暗号としてはＲＳＡ暗号と楕円曲線暗号がある。これらの公開鍵暗号は、一般的な解読法が知られていないため、後述する量子計算機による解読法を除き、安全性に関する重大な問題が見つかっていない。他の公開鍵暗号としてはナップサック暗号と多次多変数暗号などがある。しかしながら、ナップサック暗号は有力な解読法があるため、安全性に疑問がある。多次多変数暗号は、鍵サイズの増大により、有力な攻撃方法を避けられる反面、鍵サイズが膨大になってしまう問題がある。

一方、ＲＳＡ暗号と楕円曲線暗号は量子計算機が出現すれば解読される可能性が高い。量子計算機は、現在の計算機とは異なり、量子力学におけるエンタングルメントという物理現象を利用して超並列計算を実行可能な計算機である。量子計算機は、実験レベルの仮想の計算機であるが、実現に向けて研究開発が進められている。1994年にショア(Shor)は、量子計算機によれば素因数分解や離散対数問題を効率的に解けることを示した。従って、量子計算機が実現すれば、素因数分解に基づくＲＳＡ暗号や、楕円曲線上の離散対数問題に基づく楕円曲線暗号は解読される可能性が高い。

他方、量子計算機が実現されても安全な公開鍵暗号が研究されてきている。一例として、量子公開鍵暗号が挙げられる。量子公開鍵暗号では、現在の計算機では鍵生成が不可能である程に強力なナップサック暗号の鍵を量子計算機により生成する。このため、量子公開鍵暗号では、量子計算機でも計算できない程に強力なナップサック暗号を構成し得る。しかしながら、量子公開鍵暗号は、現在の計算機では鍵生成が不可能であるため、現時点では利用できない。

一方、多次多変数暗号は、現時点でも実現可能であり、量子計算機でも解読が難しい。しかしながら、多次多変数暗号は、前述した通り、膨大な鍵サイズを要するため、実用化が疑問視されている。

更に、公開鍵暗号は、共通鍵暗号と比べ、回路規模が大きく、処理時間が長い。よって、モバイル端末などの小電力環境では実現できないか、実現しても待ち時間が長いという問題がある。このため、小電力環境でも実現できる公開鍵暗号が求められている。

一般に公開鍵暗号は、予め素因数分解問題や離散対数問題などの計算困難な問題を見出し、秘密鍵を知らずに暗号文の解読を試みる場合に当該計算困難な問題を解くことと同等になるように構成する。

しかし、計算困難な問題が見つかっても、その問題を安全性の根拠とする公開鍵暗号を容易に構成できる訳ではない。理由は、計算が困難すぎる問題を安全性の根拠にすると鍵を生成する問題も困難になるので、鍵を生成できないためである。一方、鍵生成が可能な程度に問題を容易にすると、解読も容易になってしまう。

従って、公開鍵暗号を構成するには、計算困難な問題を見つけるとともに、見つけた問題を、鍵生成が容易だが、解読が容易でないという絶妙なバランスを持つ問題に作り変える必要がある。このような問題の作り変えには高い創造性を必要とする。実際には、問題の作り変えが極めて困難なため、数えるほどの公開鍵暗号しか提案されていない。

このような状況において、量子計算機でも効率的に解読できない可能性があり、小電力環境でも高速に処理可能な公開鍵暗号として、代数曲面を用いた公開鍵暗号が提案されている（例えば、特許文献１参照）。

代数曲面を用いた公開鍵暗号は、秘密鍵を代数曲面X(x, y, t)に対応する２つのセクションとし、公開鍵を代数曲面X(x, y, t)とする時、平文mを平文多項式m(t)に埋め込む処理と、次数Lの１変数既約多項式f(t)をランダムに生成する処理と、３変数x, y, tのランダム化多項式s(x, y, t), r(x, y, t)を生成する処理と、各多項式s(x, y, t), r(x, y, t), f(t)と定義式X(x, y, t)とを演算する暗号化処理とにより、平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)を生成する方式である。この方式は、後述する代数曲面上の求因子問題に安全性の根拠をおくので、解読が困難となっている。
特開２００５−３３１６５６号公報

しかしながら、以上のような代数曲面を用いた公開鍵暗号は、通常は何の問題も無いが、本発明者の検討によれば、ランダム化多項式s(x, y, t), r(x, y, t)によっては、暗号文Fの解析により、r(x, y, t)の一部が漏洩する可能性が生じてしまう。

補足すると、ランダム化多項式s(x, y, t), r(x, y, t)の生成に関しては、ランダム化多項式の次数に関する条件が開示されているものの、生成アルゴリズムが開示されていない。このため、生成されたランダム化多項式s(x, y, t), r(x, y, t)によっては、暗号文Fの解析により、r(x, y, t)の一部が漏洩する可能性が生じてしまう。

本発明は上記実情を考慮してなされたもので、代数曲面を用いた公開鍵暗号におけるランダム化多項式の漏洩を阻止し得る暗号装置、復号装置、プログラム及び方法を提供することを目的とする。

第１の発明は、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置であって、メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込む平文埋め込み手段と、次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段と、「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r(x, y, t)、s(x, y, t)を生成する多項式生成手段と、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)を生成する暗号化手段とを備えた暗号装置である。

第２の発明は、代数曲面XのファイブレーションX(x, y, t)に対応するセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置であって、メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込む平文埋め込み手段と、次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段と、「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₁(x, y, t)、s₁(x, y, t)を生成する第１多項式生成手段と、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第１暗号文F₁＝E_pk(m, s₁, r₁, f, X)を生成する第１暗号化手段と、「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₂(x, y, t)、s₂(x, y, t)を生成する第２多項式生成手段と、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第２暗号文F₂＝E_pk(m, s₂, r₂, f, X)を生成する第２暗号化手段とを備えた暗号装置である。

第３の発明は、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置であって、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)が入力される暗号文入力手段と、前記入力された暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段と、前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段とを備えた復号装置である。

第４の発明は、代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置であって、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)が入力される第１暗号文入力手段と、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)が入力される第２暗号文入力手段と、入力された複数の暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段と、前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段とを備えた復号装置である。

なお、以上の各発明は、「装置」として表現したが、これに限らず、「方法」、「プログラム」、「コンピュータ読み取り可能な記憶媒体」といった他の表現を用いてもよいことは言うまでもない。

（作用）
第１及び第３の発明は、暗号文Fに含まれる２つの乗算結果X(x, y, t)r(x, y, t)及びf(t)s(x, y, t)が、それぞれx, yの多項式として見たときの変数xⁱy^jについての同類項から構成されるので、一方の乗算結果X(x, y, t)r(x, y, t)にはあるが、他方の乗算結果f(t)s(x, y, t)には無いという項を解析する手法を用いても、各項の見分けがつかず、r(x, y, t)の一部が漏洩することがない。

従って、代数曲面を用いた公開鍵暗号におけるランダム化多項式の漏洩を阻止することができる。

第２及び第４の発明は、第１及び第３の発明と同様の理由により、暗号文F₁, F₂を解析しても、r₁(x, y, t), r₂(x, y, t)の一部が漏洩することがないので、代数曲面を用いた公開鍵暗号におけるランダム化多項式の漏洩を阻止することができる。

以上説明したように本発明によれば、代数曲面を用いた公開鍵暗号におけるランダム化多項式の漏洩を阻止できる。

以下、本発明の各実施形態を図面を用いて説明する。

本発明で述べる代数曲面は体K上定義された連立(代数)方程式の解の集合のうち２次元の自由度を持ったものと定義される。例えば、次の式(1)に示す体K上の連立方程式はは５つの変数を束縛する３つの方程式があることから、２次元の自由度を持っているので、代数曲面となる。

特に、式(2)に示す如き、３変数のK上代数方程式の解の集合として定義される空間もK上の代数曲面となる。

f(x, y, z)＝0 (2)
なお、式(1)、式(2)に示した代数曲面の定義式はアフィン空間におけるものである。射影空間における代数曲面の定義式は（式(2)の場合）f(x, y, z, w)＝0である。

しかし、本実施形態では代数曲面を射影空間で扱うことはないので代数曲面の定義式を式(1)若しくは式(2)としたが、射影空間で表現しても本発明はそのまま成立する。

一方、代数曲線は体K上定義された連立(代数)方程式の解の集合のうち1次元の自由度を持ったものである。よって、例えば次式のように定義される。

g(x, y)＝0
本実施形態においては式(2)のように１つの式で書ける代数曲面のみを扱うので、以下では式(2)を代数曲面の定義方程式のごとく扱う。

体とは加減乗除が自由にできる集合である。実数、有理数、複素数は体に該当するが、整数や行列など０以外に除算ができない元を含む集合は体に該当しない。体の中には有限体と呼ばれる有限個の元から構成される体がある。例えば素数pに対し、pを法とする剰余類Z/pZは体をなす。このような体は、素体と呼ばれ、F_pなどと書く。有限体にはこの他に素数の冪乗個の元を持つ体Fq(q＝p^r)がある。但し、本実施形態では、簡単のため、主に素体F_pのみを扱う。一般に素体F_pのpは素体F_pの標数と呼ばれる。

一方、一般の有限体でも本発明は自明な変形を施すことによって同様に成立する。公開鍵暗号ではメッセージをデジタルデータとして埋め込む必要から有限体上で構成することが多く、本実施形態においても同様に有限体（本実施形態では特に素体）F_p上定義された代数曲面を扱う。

代数曲面f(x, y, z)＝0上には図１に示すように通常代数曲線が複数存在する。このような代数曲線は代数曲面上の因子と呼ばれる。

一般に代数曲面の定義式が与えられた時に（非自明な）因子を求める問題は現代の数学においても未解決の難問であり、後述するような多次多変数連立方程式を解いたり、総当りによって求めるなどの原始的な方法を除けば一般的な解法は知られていない。特に本実施形態で扱うような有限体で定義された代数曲面においては有理数体などの無限体（無限個の元からなる体）と比較しても手掛かりが少なく、より難しい問題であることが知られている。

本実施形態ではこの問題を代数曲面上の求因子問題もしくは単に求因子問題と呼び、代数曲面上の求因子問題に安全性の根拠をおく公開鍵暗号を構成する。

さて、体K上の代数曲面X: f(x, y, z)＝0のうち、
h(x, y, t)＝0
と定義され、セクションと呼ばれるx, yがtでパラメタライズされた曲線
(x, y, t)＝(u_x(t), u_y(t), t)
が存在するような形式に表現された代数曲面を代数曲面Xのファイブレーションといい、X_tなどと表す。なお、以下では、ファイブレーションであることが明らかであるので、単にXと表す。

また、パラメータtに体Kの元t0を代入して得られる代数曲線はファイバーと呼ばれ、X_t0のように表される。ここでファイバーとセクションは共に代数曲面X_tの因子である。

一般に代数曲面のファイブレーションが与えられたとき、それに対応するファイバーは（tに体の元を代入することにより）直ちに求まるが、対応するセクションを求めることは極めて難しい。この意味ではファイバーは自明な因子であり、セクションは非自明な因子であると言える。

本発明の公開鍵暗号は代数曲面上の求因子問題のうち、特に代数曲面XのファイブレーションX_tが与えられたとき、セクションを求める問題に安全性の根拠をおいた公開鍵暗号である。

ファイブレーションからセクションを求めるには現代の数学においてもセクション(u_x(t), u_y(t), t)を
deg u_x(t) ＜ r_x, deg u_y(t) ＜ r_y
と仮定した上で、

を立てて、これを解くことによって求める方法しか知られていない。代数曲面上の求セクション問題に基づいた本発明の公開鍵暗号を具体的に説明する。

（第１の実施形態）
（概要）
本実施形態の公開鍵暗号は、システムパラメータとして
1. 素体の標数p
2. F_p上の１変数既約多項式f(t)の次数L
を持っている。また、公開鍵は
1. F_p上の代数曲面Xのファイブレーション:X(x, y, t)＝ 0
である。秘密鍵は
1. F_p上の代数曲面Xのセクション:D₁:(x, y, t)＝(u_x(t), u_y(t), t)
2. F_p上の代数曲面Xのセクション:D₂:(x, y, t)＝(v_x(t), v_y(t), t)
である。これらは後述する鍵生成方法で容易に求めることができる。

次に暗号化処理の概要を述べる。暗号化処理ではまず暗号化したいメッセージ（以下では平文と呼ぶ）をブロック分割して
m＝m₀‖m₁‖ ・・・ ‖m_L−1
のようにし、平文多項式m(t)に
m(t)＝m_L−1t^L−1＋・・・＋m₁t＋m₀
として埋め込む（平文埋め込み処理）。ここでm(t)をF_p上の多項式とするために、各m_i (0 ＜ i ＜ L−1)はF_pの元となるように取る必要がある。即ち、平文はpのビット長に基づいて
0 ＜ m_i ＜ p−1
となるように分割される。なお、平文ｍは整数であり、例えばメッセージを表す文字コード列が整数に読み替えられることにより、構成されている。

次に、F_p上でランダムなL以上の次数を持つ１変数既約多項式f(t)を決める。ここで既約多項式とは、これ以上因数分解できない多項式のことである。有限体上の１変数多項式の場合、既約性判定は極めて容易であることが知られている。いま、選択された既約多項式の次数をL₀とする。

次に、F_p上のランダム化多項式r(x, y, t), s(x, y, t)を生成して、式m(t), f(t) 及び公開鍵である代数曲面XのファイブレーションX(x, y, t)から次の式(3)によって暗号文F(x, y, t)を計算する。

F(x, y, t)＝m(t)＋f(t)s(x, y, t)＋X(x, y, t)r(x, y, t) (3)
各実施形態ではr(x, y, t), s(x, y, t)の生成に一定の条件を定め、安全性を向上させるとともに、暗号文のサイズを見積もり易く構成している。このために、公開鍵である代数曲面X(x, y, t)をx, yの多項式として見た次式に関し、係数c_ij(t)の次数の最小値d_tを求める。

次に、r(x, y, t)をx, yの多項式として見たときに各項を生成する単項式r_ij(t)xⁱy^jを決定する。ここで、生成される単項式の中には定数項が含まれ、当該定数項を含む各項の係数であるr_ij(t)を次数がL₀−d_t以上となる範囲でランダムに決定する。これにより、暗号文の構成要素であるX(x, y, t)r(x, y, t)の全ての項の係数の次数を、同じく暗号文の構成要素である１変数既約多項式f(t)の次数以上にすることができる。

なお、以下で３変数多項式Σc_ij(t)xⁱy^jの係数を述べる時には、特に断らない限り、x, yのみの多項式として見たときの項c_ij(t)xⁱy^jを対象にする。即ち、３変数多項式の項c_ij(t)xⁱy^jの係数はc_ij(t)であり、係数の次数はc_ij(t)のtに関する次数である。また、ｘ、ｙの多項式として見たときの項η_ij(t)xⁱy^jの同類項とは変数xⁱy^jが等しい項τ_ij(t)xⁱy^jのことである。ここで、それぞれの項の係数であるη_ij(t)とτ_ij(t)は一般には等しくはない（ただ、便宜的にη_ij(t)＝τ_ij(t)の場合も同類項という）。また、２つの３変数多項式Ｇ₁(x,y,t), Ｇ₂(x,y,t)がx, yの多項式として見たときの変数xⁱy^jについての同類項から構成されるとは、Ｇ₁(x,y,t)に含まれるx, yの多項式として見たときの項のxⁱy^jについての同類項がＧ₂(x,y,t)の非零の項（係数が０でない項）として含まれており、かつその逆、即ちＧ₂(x,y,t)に含まれるx, yの多項式として見たときの項のxⁱy^jについての同類項がＧ₁(x,y,t)の非零の項（係数が０でない項）として含まれていることと定義する。

次に、前述のように決定したr(x, y, t)に基づいてX(x, y, t)r(x, y, t)を計算し、多項式s(x, y, t)を以下のように決定する。即ち、計算したX(x, y, t)r(x, y, t)に含まれるa_ij(t)xⁱy^jの同類項b_ij(t)xⁱy^jを含め、それらの係数b_ij(t)の次数がX(x, y, t)r(x, y, t)における対応する項a_ij(t)xⁱy^jの係数a_ij(t)の次数からL₀を減じた値となるようにランダムに決定する。

また、X(x, y, t)r(x, y, t)に含まれない項の同類項は含まない（即ち係数を０にする）。このようにすることによって、暗号文の構成要素であるX(x, y, t)r(x, y, t)とf(t)s(x, y, t)の形容を同じにすることができる。即ち、前述した構成によればX(x, y, t)r(x, y, t)とf(t)s(x, y, t)は互いに x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成されており、かつ対応する項の係数の次数が一致するため両者の式は、その形において区別が付かない。また、両者の式にはX(x, y, t), r(x, y, t)の作り方から定数項が含まれており、かつdeg f(t) ＞ L, deg_m(t) ＜ Lであるため、暗号文に含まれる要素X(x, y, t)r(x, y, t)とf(t)s(x, y, t)は互いに他の雑音（ランダム要素）となっており、その区別が付かない。特に、これらの定数項を見るとm(t)とX(x, y, t)r(x, y, t)とf(t)s(x, y, t)が互いに他の雑音になっていることが分かる。

逆に、このように構成しないと、f(t)s(x, y, t)に含まれているがX(x, y, t)r(x, y, t)には含まれていない項や、X(x, y, t)r(x, y, t)に含まれているがf(t)s(x, y, t)には含まれていない項が存在することになる。前者の場合はf(t)s(x, y, t)のみに含まれる項の係数を因数分解することでf(t) 若しくはf(t)を含むf(t)の複数の候補が得られる。後者の場合はX(x, y, t)r(x, y, t)のみに含まれる項a_ij(t)xⁱy^jに対応したr(x, y, t)の項の係数が分かってしまう。しかし、いずれの場合もどの項が該当する項かを予め特定しておく必要があるため、前記方法が直ちに先発明（特開２００５−３３１６５６）の公開鍵暗号の安全性を脅かすものではない。しかし、将来の解読技術の進歩により、特定が簡単に実現してしまう可能性も少なくない。このため、ランダム多項式r(x, y, t), s(x, y, t)を各実施形態のように生成する必要がある。同様にf(t)s(x, y, t)とX(x, y, t)r(x, y, t)の定数項に関しても、もし定数項が存在しなければ暗号文F(x, y, t)の定数項からm(t)が漏洩するという問題がある。

暗号文F(x, y, t)を受け取った受信者は、所有する秘密鍵D₁, D₂を利用して次のように復号を行う。まず、セクションD₁, D₂を暗号文F(x, y, t)に代入する。ここで、セクションD₁, D₂を代数曲面X(x, y, t)に代入する。

X(u_x(t), u_y(t), t)＝0, X(v_x(t), v_y(t), t)＝0
なる関係があることに注意すると
h₁(t)＝F(u_x(t), u_y(t), t)＝m(t)＋f(t)p(u_x(t), u_y(t), t)
h₂(t)＝F(v_x(t), v_y(t), t)＝m(t)＋f(t)p(v_x(t), v_y(t), t)
という関係を持つ２つの式h₁(t), h₂(t)が求まることが分かる。次に、２式を辺々引き算して、次の式(4)を計算する。

h₁(t)−h₂(t)＝f(t){p(u_x(t), u_y(t), t)−p(v_x(t), v_y(t), t)} (4)
次に、h₁(t)−h₂(t)を因数分解して、次数がL以上の因数を取得する。ここで、次数がL以上の因子は１つとは限らない。そこで、それらを
f_i(t) (1 ＜ i ＜ n)
とする。また、h₁(t)−h₂(t)の因数分解は１変数多項式の因数分解が容易であることから十分有効な時間内に処理可能である。

次に、得られたf_i(t)でh₁(t)を除すると、もしf_i(t)＝f(t)であれば、m(t)の次数がL 未満であることに注意すると、
h₁(t)＝m(t)＋f(t)p(u_x(t), u_y(t), t) (5)
の関係から、剰余として平文多項式m(t)が得られる。しかし、f(t)の候補が複数ある場合は必ずしも、平文多項式m(t)が得られない。そこで、ここで得られた剰余m₁(t)とし、更にf_i(t)でh₂(t)を除した時に得られる剰余をm₂(t)とすると、もしf_i(t)＝f(t)であれば、m₁(t)＝m₂(t)となるはずである。逆にm₁(t)≠m₂(t)であればf_i(t)≠f(t)であると言える。そこで、全ての候補f_i(t)について、検査を行い、検査に成功（即ち、２つの剰余が一致した）候補をf(t)とする。

一方で、検査に成功した候補が複数ある場合や１つも無かった場合は復号失敗として処理する。前者の場合は理論的に否定はできないが、確率は無視できるほど小さいと考えられる。後者の場合は理論的には有り得ないが、送信側の計算ミスや伝送路上での改竄などの何らかの理由により正しくない暗号文を受信したことにより起こる可能性がある。

次に、得られた平文多項式m(t)から平文埋め込み処理と逆の処理で平文mを求めることができる。

最後に本実施形態における鍵生成方法を説明する。本実施形態の鍵生成はセクションD₁, D₂をランダムに選び、それに対応したファイブレーションを計算することによって行う。但し、生成された代数曲面が２つのセクションを同時に持つようにするために以下のような工夫が必要となる。代数曲面（のファイブレーション）は、一般に次式のように書ける。

ここで、e_ij(t)は１変数多項式である。

まず、システムパラメータとして素体の標数pを決める。このとき、pは小さくても安全性に問題は生じない。さて、セクションD₁, D₂を
D₁ : (x, y, t)＝(u_x(t), u_y(t), t),
D₂ : (x, y, t)＝(v_x(t), v_y(t), t)
とおいて代数曲面Xに代入し、
Σ_(i,j) e_ij(t)u_x(t)ⁱu_y(t)^j＝0
Σ_(i,j) e_ij(t)v_x(t)ⁱv_y(t)^j＝0
を得る。これらを辺々引くと両式に共通の定数項e₀₀(t)が消え、

から多項式となるc₁₀(t)を生成するには、
u_x(t)−v_x(t)｜u_y(t)−v_y(t)
のように設定すれば十分である（なお、A｜Bの表記は、AがBを割り切ること、即ちBがAの倍数（倍式）であることを意味する）。このことは式(7)と
(u_x(t)−v_x(t))｜(u_x(t)ⁱ−v_x(t)ⁱ)
(u_y(t)−v_y(t))｜(u_y(t)^j−v_y(t)^j)
から明らかである。

以上のことを利用して以下に示すアルゴリズムで鍵生成を行うことができる。まず、λ_x(t)｜λ_y(t)となる２つの多項式をランダムに選択する。

具体的にこのような多項式の組λ_x(t),λ_y(t)を求めるには、dをセクションの最大次数としたとき、例えばｄ次以下のλ_x(t)をランダムに与えて、次数d−deg λ_x(t)以下のランダムな多項式c(t)によってλ_y(t)＝c(t)λ_x(t)を計算すればよい。

ここで、λ_x(t)＝u_x(t)−v_x(t), λ_y(t)＝u_y(t)−v_y(t)
とおき、多項式v_x(t)をランダムに選択し、
u_x(t)＝λ_x(t)＋v_x(t)
によってu_x(t)を計算する。λ_x(t), v_x(t)の次数はd以下なので、u_x(t)の次数もd以下となる。

同様に多項式v_y(t)をランダムに選択し
u_y(t)＝λ_y(t)＋v_y(t)
によってu_y(t)を計算する。同様にλ_y(t), v_y(t)の次数はd以下なのでu_y(t)の次数もd以下となる。

次に、e₀₀(t), e₁₀(t)x以外の係数e_ij(t)((i,j)≠(0,0),(1,0))をランダムに生成し、前述のように計算されたu_x(t), v_x(t), u_y(t), v_y(t)を利用して式(6)に従ってe10(t)を計算する。更に、

を計算することにより多項式e₀₀(t)が得られる。

＜第１の実施形態のバリエーション＞
第１のバリエーションは、暗号化処理に用いる式(3)の変形に関するバリエーションである。式(3)は、例えば
F(x, y, t)＝m(t)−f(t)s(x, y, t)−X(x, y, t)r(x, y, t)
のように変形しても同様に暗号化／復号が可能であり、同様の安全性が証明可能である。このように本発明の趣旨に反しない範囲で暗号化の式を変形し、それに伴い復号処理を変更することが十分可能である。

第２のバリエーションは、平文mを１変数既約多項式f(t)にも埋め込む方式である。前述した実施形態ではf(t)をランダムに生成する方式を示したが、秘密鍵無しにf(t)を求めることが困難であることも本発明の公開鍵暗号の性質であるから、f(t)にも平文情報を埋め込む方式が実現可能となっている。

f(t)にも平文mを埋め込む場合、より大きなサイズの平文を一度に暗号化できる。但し、埋め込んだ結果f(t)を既約多項式とする必要から、特定の係数にはランダムな係数が入るように予め定めておく必要がある。既約多項式は極めて多く存在するため、一部の係数に平文mを埋め込んだとしても、ほとんどの場合、既約多項式を得ることができる。仮に得られなかった場合にはf(t)の次数を上げることにより、探索範囲を増やすことも可能である。このような変形を施しても同様の安全性が実現できる。

また、復号処理に関しては、m(t)と共にf(t)を展開し、f(t)のうちの予め定められた一部の係数から平文mの一部を取り出すことで復号が可能となる。

第３のバリエーションは、復号処理において、式(4)からh₁(t)−h₂(t)を因数分解して、次数がL以上の因数を取得する際にf(t)の候補が複数ある場合、本実施形態では全ての候補に関して、２つの剰余m₁(t)とm₂(t)を比較して、１つの候補のみが一致することを確認して、平文多項式を決定していた。しかし、（本実施形態でも述べた通り）２つ以上の候補がそれぞれ別々の平文多項式として一致することは無視できるほど小さい確率だと考えられるため、m₁(t)とm₂(t)が一致する候補があった場合に、それをf(t)と考えて対応するm₁(t)を平文多項式処理を進めても誤った平文となる確率は無視できる程度である。また、このように構成することで、復号処理の一部を削減することが可能になるばかりでなく、他の（無視できる確率を除いて正しいf(t)とならない）f(t)の候補に関して同様の処理を行なう必要がなくなるため、平文多項式検査処理の回数を平均して半分程度に減らすことが可能となる。

＜安全性の検討＞
以下では前述したように構成した本発明の公開鍵暗号の安全性に関して［１］〜［３］に示すように考察する。

［１］総当り攻撃
暗号文F(x, y, t)を構成する各要素m(t), f(t), s(x, y, t), r(x, y, t)を

とおき、これらと暗号文F(x, y, t)を比較することによって、多次多変数連立方程式系を生成し、これを解くという攻撃が考えられる。しかしこの場合、r(x, y, t)をx, yの多項式として見て、十分多くの項を含ませると共に、x, yの多項式として見たとき各項の係数となる多項式の次数を十分高くすることにより、変数の数を増大させ、容易に解けないレベルにまで高めることが可能である。例えば、現在１００程度の変数を持つ多次多変数方程式は現在の計算機処理量と処理手法では解くのが極めて困難である。そこで、項や係数の次数を変数の数が１００を超える程度にまで増大させ、本攻撃を回避することができる。

［２］リダクション攻撃
本発明の公開鍵暗号では代数曲面X(x, y, t)のみが公開されている。そこで暗号文F(x, y, t)をX(x, y, t)で割った余りとして、m(t)＋f(t)s(x, y, t)が求まらないかを検討しなくてはならない。しかし、３変数多項式同士の割り算の場合、剰余が一意に決まらない。なぜならば文献（D. コックス他,“グレブナ基底と代数多様体入門（上）,” Springer(200)，p.94 例4）にあるように２変数以上の多項式では一般に除法の定理が成り立たないためである。しかも、暗号文の性質から
deg_x (m(t)＋f(t)s(x, y, t))＞deg_x X(x, y, t)
deg_y (m(t)＋f(t)s(x, y, t))＞deg_y X(x, y, t) (9)
deg_t (m(t)＋f(t)s(x, y, t)) ＞deg_t X(x, y, t)
の３つの条件が得られ、除する式X(x, y, t)よりも次数の高い余りを見出さなくてはならず、更に正しい剰余m(t)＋f(t)s(x, y, t)を得ることを困難にしている。ここで、deg_x g(x, y, t)の表記は、多項式g(x, y, t)をｘの多項式として見た時の次数を示している。

［３］代入攻撃
［３−１：代数曲面上の代数曲線を代入する攻撃］
（セクションを含む）代数曲線はωをパラメータとして
x＝u_x(ω), y＝u_y(ω), t＝u_t(ω) (10)
のように書ける。ここでセクションはω＝tとした特殊な場合と考える。前述の鍵生成アルゴリズムに従って鍵生成すると、deg_t(X(x, y, t)はdeg_x X(x, y, t), deg_y X(x, y, t)よりも相当に大きくなる。このため、deg u_t(ω) ＞ 2の場合は変数の数がセクションの場合(deg u_t(ω)＝1) よりも困難になると考えられる。

deg u_t(ω)＝1の場合の代数曲線は簡単な線型変換によってセクションとなるので、これは求セクション問題の困難性の仮定から困難である。

deg u_t(ω)＝0の場合、代数曲線はファイバーである。代数曲面のファイバーは、ファイブレーションを持つ代数曲面X(x, y, t)においてはtに特殊値t_iを代入することにより容易に求めることができる。

従って、これを暗号文F(x, y, t)に代入することで、
F(u_x(ω), u_y(ω), t_i)＝m(t_i)＋f(t_i)s(u_x(ω), u_y(ω), t_i)
のような連立方程式が導かれるが、t_iに取りえる値は高々pだけであり、これらの関係式からは何の情報も導かれない。

［３−２：代数曲面外の代数曲線を代入する攻撃］
代数曲面外の代数曲線の場合も式(10)として書け、X(u_x(ω), u_y(ω), u_t(ω))≠0である。よって、

を得る。しかし、ここで分かっている式はX(u_x(ω), u_y(ω), u_t(ω))であるのでF(u_x(ω), u_y(ω), u_t(ω))をX(u_x(ω), u_y(ω), u_t(ω))でリダクションする攻撃が考えられる。これは１変数なので可能ではあるが、式(9)により、m(u_t(ω))＋f(u_t(ω))s(u_x(ω), u_y(ω), u_t(ω))の次数の方が、X(u_x(ω), u_y(ω), u_t(ω))の次数が大きいため正確な剰余に辿りつくことは容易ではない。

［３−３：代数曲面上の有理点を代入する攻撃］
代数曲面X(x, y, t)の有理点（X(x, y, t)＝ 0となる点）を代入することによる攻撃がある。即ち、平文多項式をa₀, a₁, ・・・ , a_L−1を未知数として
m(t)＝a_L−1x^L−1＋・・・＋a₁x＋a₀
とおく。（公開鍵である）代数曲面X_t(x, y, t)＝0のK 有理点(x_i, y_i, t_i)は（どのような代数曲面でも）比較的簡単かつ大量に求まることが知られているため、これらの有理点を暗号文F(x, y, t)に代入して、
F(x_i, y_i, t_i)＝m(t_i)＋f(t_i)s(x_i, y_i, t_i)
という関係式が大量に求まる。これらを連立させるとm(t)が解ける可能性がある。

しかし、f(t), s(x, y, t)はランダムな多項式である。特に

はX(x, y, t)r(x, y, t)に含まれる項を全て含むと共に、各項の係数の次数から１変数既約多項式f(t)の次数を減じた値だけの次数を持つ係数が対応するs(x, y, t)の項にランダムに書かれる。このため、r(x, y, t)の各係数の次数を十分大きくしておけば、必然的にs(x, y, t)の係数の次数も方程式が解けないほど大きくなり、事実上計算不可能となる。

従ってこのような攻撃は本発明の公開鍵暗号にとっては脅威とはならない。

一方、暗号文からs(x, y, t)の因子を削除すると、連立方程式は
F(x_i, y_i, t_i)＝m(t_i)＋f(t_i)
となり
deg_m(t)＜deg f(t)＝L
であるのでLが１００程度であっても比較的簡単に係数が求められてしまう。この理由で因子s(x, y, t)が存在する。

以上のように本発明の公開鍵暗号は攻撃に対する耐性がある。即ち（逆に言うと）本発明の公開鍵暗号は耐性を持つように各構成要素が設定されている。

（第１の実施形態の具体的な構成）
次に、本発明の第１の実施形態について具体的に説明する。図２は本発明の第１の実施形態に係る暗号装置の全体構成図であり、図３は同実施形態における復号装置の全体構成図である。

なお、以下の暗号装置１０及び復号装置２０は、各装置１０，２０毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

ここで、暗号装置１０は、図２に示すように、システムパラメータ格納部１１、メモリ１２、平文入力部１３、公開鍵入力部１４、平文埋め込み部１５、暗号化部１６、暗号文出力部１７及び演算部２０を備えている。演算部２０は、メモリ２１、１変数既約多項式生成部２２、第１多項式生成部２３、ランダム値生成部２４及び第２多項式生成部２５を備えている。

システムパラメータ格納部１１は、暗号化部１６から読出可能なメモリであり、システムパラメータである１変数既約多項式f(t)の次数Lと素体の標数pを格納している。

メモリ（ハードウエア資源）１２は、暗号化部１６から処理中のデータ等が適宜読出／書込可能となっている。

平文入力部１３は、外部から入力された平文（メッセージ）ｍを平文埋め込み部１５に送出する機能をもっている。

公開鍵入力部１４は、外部から入力された公開鍵X(x, y, t)を平文埋め込み部１５及び暗号化部１６に送出する機能をもっている。

平文埋め込み部１５は、平文入力部１３から受けた平文m及び公開鍵入力部１４から受けた公開鍵に基づいて、平文mを１変数tで次数L−１以下の平文多項式m(t)の係数として埋め込む機能と、得られた平文多項式m(t)を暗号化部１６に送出する機能をもっている。

暗号化部１６は、平文埋め込み部１３から受けた平文多項式ｍ(t)及び公開鍵入力部１４から受けた公開鍵Ｘ(x,y,t)に基づいて、図４〜図６に示す動作を実行するように、後段の各部１７，２０〜２５を制御するものであり、特に、平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)＝F(x, y, t)を生成する機能をもっている。

暗号文出力部１７は、暗号化部１６により生成された暗号文F(x, y, t)を出力する機能をもっている。

メモリ（ハードウェア資源）２１は、暗号化部１６及び各生成部２２〜２５から処理中のデータ等が適宜読出／書込可能となっている。

１変数既約多項式生成部２２は、暗号化部１６に制御され、次数L以上のランダムな１変数既約多項式f(t)を生成する機能をもっている。

第１多項式生成部２３、ランダム値生成部２４及び第２多項式生成部２５は、暗号化部１６に制御され、「ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r(x, y, t)、s(x, y, t)を生成する多項式生成機能をもっている。具体的には、第１多項式生成部２３、ランダム値生成部２４及び第２多項式生成部２５は、以下の機能をもっている。

第１多項式生成部２３は、暗号化部１６に制御され、１変数既約多項式f(t)の次数L₀を取得する機能と、ファイブレーションX(x, y, t)をx, yの２変数多項式Σc_ij(t)xⁱy^jとしたとき、係数c_ij(t)の次数の最小値d_tを選択する機能と、３変数多項式r(x, y, t)をxとyの多項式としたとき、多項式r(x, y, t)に含まれる複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する機能と、複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)以外の変数項r_ij(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する機能と、定数項r₀₀(t)及び変数項r_ij(t)xⁱy^jを足し合わせて、３変数多項式r(x, y, t)を算出する機能とを持っている。

ランダム値生成部２４は、各多項式生成部２３，２５に制御され、指定されたビット数のランダム値zを生成して多項式生成部２３，２５に返信する機能をもっている。

第２多項式生成部２５は、暗号化部１６に制御され、ファイブレーションX(x, y, t)と当該３変数多項式r(x, y, t)とを乗算し、乗算結果X(x, y, t)r(x, y, t)を得る機能と、３変数多項式s(x, y, t)をxとyの多項式としたとき、乗算結果X(x, y, t)r(x, y, t)に含まれる複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)のｔの次数deg_t s’₀₀(t)に基づいて、前記多項式s(x, y, t)の定数項s₀₀(t)を、tの次数がdeg_t s’₀₀(t)−L₀となる範囲でランダムに算出する機能と、複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)以外の変数項s’_ij(t)xⁱy^jに基づいて、多項式s(x, y, t)の変数項s_ij(t)xⁱy^jを、tの次数がdeg_t s’_ij(t)−L₀となる範囲でランダムに算出する機能と、定数項s₀₀(t)及び前記変数項s_ij(t)xⁱy^jを足し合わせて、３変数多項式s(x, y, t)を生成する機能とをもっている。

一方、復号装置３０は、図３に示すように、パラメータ格納部３１、メモリ３２、暗号文入力部３３、鍵入力部３４、復号部３５、平文展開部３６、平文出力部３７及び演算部４０を備えている。演算部４０は、メモリ４１、セクション代入部４２、１変数多項式演算部４３、１変数多項式因数分解部４４、１変数多項式剰余演算部４５及び平文多項式検査部４６を備えている。

ここで、パラメータ格納部３１は、復号部３５から読出可能なメモリであり、システムパラメータである１変数既約多項式f(t)の次数Lと素体の標数pを格納している。

メモリ３２は、復号部３５から処理中のデータ等が適宜読出／書込可能となっている。

暗号文入力部３３は、外部から入力された暗号文Fを復号部３５に送出する機能をもっている。

鍵入力部３４は、外部から入力された公開鍵X(x, y, t)と秘密鍵を復号部３５に送出する機能をもっている。

復号部３５は、図７〜図８に示す動作を実行するように、後段の各部３６，４０〜４６を制御する機能をもっている。

平文展開部３６は、復号部３５に制御され、検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)の係数からメッセージmを展開する機能をもっている。

平文出力部３７は、平文展開部２９から受けた平文ｍを出力する機能をもっている。

メモリ４１は、復号部３５及び各部４２〜４６から処理中のデータ等が適宜読出／書込可能となっている。

セクション代入部４２は、復号部３５に制御され、入力された暗号文Fに対し、各セクションD₁, D₂を代入して２つの１変数多項式ｈ₁(t),ｈ₂(t)を生成する機能をもっている。

１変数多項式演算部４３は、復号部３５に制御され、各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る機能をもっている。

１変数多項式因数分解部４４は、復号部３５に制御され、減算結果{h₁(t)−h₂(t)}を因数分解する機能と、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する機能とをもっている。

１変数多項式剰余演算部４５は、復号部３５に制御され、抽出された既約多項式f(t)で１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る機能とをもっている。

平文多項式検査部４６は、復号部３５に制御され、多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する機能と、検査結果を復号部３５に送出する機能とをもっている。

次に、以上のように構成された暗号装置及び復号装置の動作を図４乃至図８のフローチャートを用いて説明する。

（暗号化処理：図４乃至図６）
暗号装置１０においては、平文入力部１３から平文（メッセージ）mが入力され（ＳＴ１）、公開鍵入力部１４から公開鍵X(x, y, t)が入力されると（ＳＴ２）、処理を開始する。また、システムパラメータである１変数既約多項式f(t)の次数Lと素体の標数pは、暗号化部１６により、システムパラメータ格納部１１から取得され（ＳＴ３）、平文埋め込み部１５に送られる。

平文埋め込み部１５では、別途、平文入力部１３から送信された平文mを、標数pのビット長よりも１小さいビット長にL−1分割する。例えばp＝17の場合は、平文mを４ビット毎に分割することができる。ここで、平文mが１６進表示で
m＝0x315763ef25c04c792ef151
であるとする。この場合、平文埋め込み部１５は、１６進表示の平文mを４ビット毎に分割し、次式に示すように、この平文mを係数としてL−1次の平文多項式m(t)に埋め込む（ＳＴ４）。

m(t)＝3t²¹＋t²⁰＋5t¹⁹＋7t¹⁸＋6t¹⁷＋3t¹⁶＋15t¹⁵＋11t¹⁴＋2t¹³＋5t¹²
＋12t¹¹＋0t¹⁰＋4t⁹＋12t⁸＋7t⁷＋9t⁶＋2t⁵＋14t⁴＋15t³＋t²＋5t＋1
平文埋め込み部１５は、平文多項式m(t)を暗号化部１６に送信する。一方で、公開鍵入力部１４は公開鍵X(x, y, t)を暗号化部１６に送信する。システムパラメータ格納部１１はパラメータL, pを暗号化部１６に送信する。

暗号化部１６では、平文多項式m(t)、パラメータL, p、公開鍵X(x, y, t)を受信すると、これらをメモリ１２に書き込む。しかる後、暗号化部１６は、メモリ１２内のパラメータL, pを１変数既約多項式生成部２２に送信する。

１変数既約多項式生成部２２は、L次以上の１変数既約多項式f(t)をランダムに生成し（ＳＴ５）、得られた１変数既約多項式f(t)を暗号化部１６に返信する。ここで、既約多項式の生成は、L次以上の多項式をランダムに生成し、F_p上の既約性判定を１変数多項式が既約多項式となるまで繰り返すことにより行う。

暗号化部１６は、１変数既約多項式f(t)をメモリ１２に保存した後、第１多項式生成部２３にp, L, f(t), X(x, y, t)を送信する。第１多項式生成部２３は、以下の処理を実行して３変数多項式r(x, y, t)を生成する。

始めに、第１多項式生成部２３は、受信した１変数既約多項式f(t)の次数L₀を求める（ＳＴ６）。次数L₀としては最高次の次数を求めれば良く、具体的な処理はデータ構造によって異なるが、当業者であれば容易に実現できる。次に、公開鍵である代数曲面X(x, y, t)をx, yの多項式として見た場合の次式に関し、係数c_ij(t)の次数の最小値d_tを求める（ＳＴ７）。

を得たとき、係数c_ij(t)を抽出する処理と、係数c_ij(t)からｔの次数を求める処理と、ｔの次数の最小値d_tを選択する処理とを実行すれば良い。なお、ｔの次数を求める処理としては、f(t)の次数を求めた手法と同じ手法を実行すれば良い。

次に、第１多項式生成部２３は、r(x, y, t)をx, yの多項式として見た場合に、各項を生成する単項式r_ij(t)xⁱy^jを決定する。まず、定数項r₀₀(t)を以下のように決定する（ＳＴ８〜ＳＴ１０）。すなわち、値L₀−d_t＋1を計算し（ＳＴ８）、得られた値L₀−d_t＋1以上の値d₀₀をランダム値生成部２４に送信する。ランダム値生成部２４は、d₀₀ビットのランダム値を生成し（ＳＴ９）、このランダム値を第１多項式生成部２３に返信する。ここで、L₀−d_t＋1以上の値d₀₀を得るには、例えばランダム値生成部２４に自然数３を送信して０〜７の数を生成し、前記生成された値をL₀−d_t＋1に加える方法がある。

第１多項式生成部２３は、ランダム値を受信すると、最高次の係数を１とするためランダム値の最上位ビットを強制的に１にする。次に、第１多項式生成部２３は、ランダム値の第ｉビットの値z_iをtⁱ⁻¹の係数として、次式に示すように多項式を生成し、この多項式を定数項r₀₀(t)とする（ＳＴ１０）。

定数項r₀₀(t)の次数は、L₀−d_t以上となっている。理由は、最小次数d_tのX(x, y, t)をr(x, y, t)に乗じた際に、得られる多項式X(x, y, t)r(x, y, t)のｔに関する最小次数をL₀とするためである。これは定数項以外の変数項r_ij(t)xⁱy^jのｔの次数でも同様である。

次に、定数項以外の変数項r_ij(t)xⁱy^jを以下のように決定する（ＳＴ１１〜ＳＴ１６）。なお、定数項以外にどのような項を否零の項として採用するかはシステムで予め定められる。ここでは、x及びyに関する次数の上限をｅとする項を否零の項として採用するものとする。

第１多項式生成部２３は、メモリ２１から次数の上限ｅを読み出してランダム値生成部２４に送出する。ランダム値生成部２４は、上限e以下の値i, jを生成し（ＳＴ１１）、この値i, jが過去に生成した値か否かを判定する（ＳＴ１２）。この判定は、例えば過去に生成した値i, jを書き込んだメモリ２１内のリストを参照し、今回生成した値i, jがこのリストに無いことを確認すればよい。ステップＳＴ１２の判定の結果、過去に生成した値の場合にはステップＳＴ１１に戻る。一方、ステップＳＴ１２の判定の結果、否の場合には、生成した値i, jをそれぞれ次数i, jとすることにより、項の変数xⁱy^jを決定する。これに加え、否の場合には今回生成した値i, jをリストに追加する。

また、決定した項の係数r_ij(t)は、次式に示すように、定数項r₀₀(t)を生成するステップＳＴ９〜ＳＴ１０と同じ処理で生成する（ＳＴ１３〜ＳＴ１４）。但し、式１２におけいてd_ijはr_ij(t)の次数であり、前記d₀₀同様L₀−d_t＋1以上の値である。

しかる後、係数r_ij(t)及び変数xⁱy^jに基づいて、変数項r_ij(t)xⁱy^jを生成する（ＳＴ１５）。また、否零の項の数に関しても同様にメモリ２１に格納されている否零項の数を示すパラメータｗによって決められる。すなわち、第１多項式生成部２３は、ステップＳＴ１５の後、合計でｗ個の否零項を生成したか否かを判定し（ＳＴ１６）、否の場合にはステップＳＴ１１に戻る。ここで、ｗが大きければ大きいほどできる暗号文は大きくなるので、安全性が確保できる最適なｗを設計段階で決定する必要がある。

一方、ステップＳＴ１６の判定の結果、ｗ個の否零項を生成した場合には、第１多項式生成部２３は、定数項r₀₀(t)と、全ての変数項r_ij(t)xⁱy^jとを足し合わせることにより、３変数多項式r(x, y, t)を生成する（ＳＴ１７）。第１多項式生成部２３は、当該３変数多項式r(x, y, t)を暗号化部１６に送信し、処理を終了する。暗号化部１６は、３変数多項式r(x, y, t)をメモリ１２に書き込んで保存する。

以下で３変数多項式の係数を述べるときには、特に断らない限り、x, yのみの多項式Σc_ij(t)xⁱy^jと考えた時の項c_ij(t)xⁱy^jを対象にする。即ち、項c_ij(t)xⁱy^jの係数はc_ij(t)であり、係数の次数はc_ij(t)のtに関する次数である。この説明は、“c_ij(t)xⁱy^j”に限らず、“r_ij(t)xⁱy^j”又は“s_ij(t)xⁱy^j”等でも同様である。

次に、暗号化部１６は、メモリ１２内のr(x, y, t)に基づいて、s’(x, y, t)＝X(x, y, t)r(x, y, t)を計算し（ＳＴ１８）、X(x, y, t)r(x, y, t)とp, L₀を第２多項式生成部２５に送信する。

第２多項式生成部２５では、多項式s(x, y, t)を以下のように決定する（ＳＴ１９〜ＳＴ２７）。

始めに、計算したX(x, y, t)r(x, y, t)に含まれる項のそれぞれについて、それらの係数を次数がX(x, y, t)r(x, y, t)における対応する項の次数からL₀を減じた値となるようにランダムに決定する。ここで、係数はr(x, y, t)で各係数を生成した場合と同じ処理で決定する。以下、念のため、説明する。

第２多項式生成部２５は、X(x, y, t)r(x, y, t)＝s’(x, y, t)をx, yの多項式として見たときに各項を生成する単項式s’_ij(t)xⁱy^jに基づいて、３変数多項式s(x, y, t)の各項を生成する単項式s_ij(t)xⁱy^jを決定する。まず、定数項s₀₀(t)を以下のように決定する（ＳＴ１９〜ＳＴ２１）。すなわち、s’(x, y, t)の定数項s’₀₀(t)におけるtの次数deg_t s’₀₀(t)から値deg_t s’₀₀(t)−L₀＋1を計算し（ＳＴ１９）、得られた値deg_t s’₀₀(t)−L₀＋1をランダム値生成部２４に送信する。ランダム値生成部２４は、deg_t s’₀₀(t)−L₀＋1ビットのランダム値を生成し（ＳＴ２０）、このランダム値を第２多項式生成部２５に返信する。

第２多項式生成部２５は、ランダム値を受信すると、最高次の係数を１とするためランダム値の最上位ビットを強制的に１にする。次に、第２多項式生成部２５は、ランダム値の第ｉビットの値z_iをtⁱ⁻¹の係数として、次式のように多項式を生成し、この多項式を定数項s₀₀(t)とする（ＳＴ２１）。

定数項s₀₀(t)の次数は、deg_t s’₀₀(t)−L₀となっている。理由は、最小次数L₀のｆ(t)をs(x, y, t)に乗じた際に、得られる多項式f(t)s(x, y, t)のｔに関する次数をX(x, y, t)r(x, y, t)のｔに関する次数deg_t s’₀₀(t)に合わせるためである。これは定数項以外の変数項s_ij(t)xⁱy^jのｔの次数でも同様である。

次に、定数項以外の項s_ij(t)xⁱy^jを以下のように決定する（ＳＴ２２〜ＳＴ２６）。すなわち、変数項s’_ij(t)xⁱy^jの係数s’_ij(t)におけるtの次数deg_t s’_ij(t)から値deg_t s’_ij(t)−L₀＋1を計算し（ＳＴ２２）、得られた値deg_t s’_ij(t)−L₀＋1をランダム値生成部２４に送信する。ランダム値生成部２４は、deg_t s’_ij(t)−L₀＋1ビットのランダム値を生成し（ＳＴ２３）、このランダム値を第２多項式生成部２５に返信する。

第２多項式生成部２５は、ランダム値を受信すると、前述同様にランダム値の最上位ビットを強制的に１にする。次に、第２多項式生成部２５は、ランダム値の第ｉビットの値z_iをtⁱ⁻¹の係数として、次式に示すように多項式を生成し、この多項式を変数項の係数s_ij(t)とする（ＳＴ２４）。なお、変数項の係数s_ij(t)は定数項を生成する処理と同じ処理で生成する。

しかる後、第２多項式生成部２５は、係数s_ij(t)及び変数xⁱy^jに基づいて、変数項s_ij(t)xⁱy^jを生成する（ＳＴ２５）。この変数項s_ij(t)xⁱy^jの生成は、s’(x, y, t)における変数項s’_ij(t)xⁱy^j毎に、順次、実行される。第２多項式生成部２５、ステップＳＴ２５の後、r(x, y ,t)X(x, y, t)の各項に対応する全ての項を生成したか否かを判定し（ＳＴ２６）、否の場合にはステップＳＴ２２に戻る。

一方、ステップＳＴ２６の判定の結果、全ての項を生成した場合には、第２多項式生成部２５は、定数項s₀₀(t)と、全ての変数項s_ij(t)xⁱy^jとを足し合わせることにより、３変数多項式s(x, y, t)を生成する（ＳＴ２７）。第２多項式生成部２５は、当該３変数多項式s(x, y, t)を暗号化部１６に送信し、処理を終了する。暗号化部１６は、３変数多項式s(x, y, t)をメモリ１２に書き込んで保存する。

暗号化部１６は、以上の処理で得られたm(t), f(t), s(x, y, t), r(x, y, t)と公開鍵である代数曲面X(x, y, t)を利用して、式(3)に従って暗号文F(x, y, t)を計算し展開する（ＳＴ２８）。暗号化部１６は、この暗号文F(x, y, t)を（必要ならば予め定められたフォーマットに合わせて変形し）暗号文出力部１７から出力し（ＳＴ２９）、暗号化処理を終了する。

（復号処理：図７及び図８）
復号装置３０においては、暗号文入力部３３から暗号文F(x, y, t)を取得し（ＳＴ３１）、鍵入力部３４から公開鍵X(x, y, t)と秘密鍵を取得し（ＳＴ３２）、パラメータ格納部３１からp, Lを取得することから復号処理を開始する。ここで、秘密鍵とは２つのセクションD₁, D₂である。取得された暗号文と鍵情報等は復号部３５に送られる。復号部３５は、暗号文と鍵情報等をメモリ３２に書き込んで保存する。

復号部３５は、セクション代入部４２にメモリ３２内の暗号文F(x, y, t)とセクションD₁を送信する。セクション代入部４２は、D₁をF(x, y, t)に代入し、必要に応じて１変数多項式演算部４３を利用することにより、h₁(t)を得る（ＳＴ３３）。ここで、１変数多項式演算部４３は１変数多項式の加減乗除演算を行う。得られたh₁(t)は、セクション代入部４２から復号部３５に送出される。

また同様に、復号部３５は、セクション代入部４２にメモリ３２内の暗号文F(x, y, t)とセクションD₂を送信する。セクション代入部４２は、セクションD₂をF(x, y, t)に代入し、h₂(t)を得る（ＳＴ３４）。得られたh₂(t)は、セクション代入部４２から復号部３５に送出される。

復号部３５は、h₁(t), h₂(t)を１変数多項式演算部４３に送信して減算させる。１変数多項式演算部４３は、減算結果{h₁(t)−h₂(t)}を復号部３５に送出する。

復号部３５は、減算結果{h₁(t)−h₂(t)}を１変数多項式因数分解部４４に送信して因数分解させる（ＳＴ３５）。１変数多項式因数分解部４４は、因数分解結果のうち、次数L以上の因子として既約多項式f(t)を得ると（ＳＴ３６）、この既約多項式f(t)を復号部３５に送出する。なお、本復号処理では１変数既約多項式f(t)の候補が複数現れる可能性があるため、正しいf(t)を選択するように以下の処理を行なう。まず、復号部３５は、f(t)候補を１つ抽出し（ＳＴ３７）、正しいf(t)候補のカウンタ値kを０にセットする（ＳＴ３８）。なお、カウンタ値kはメモリ４１に記憶されている。

復号部３５は、１変数多項式剰余演算部４５を利用してh₁(t)をf(t)で除し、剰余として平文多項式m₁(t)を得る（ＳＴ３９）。同様に１変数多項式剰余演算部４５を利用してh₂(t)をf(t)で除し、剰余として平文多項式m₂(t)を得る（ＳＴ４０）。

次に、復号部３５は、これらの式m₁(t), m₂(t)を平文多項式検査部４６に送信する。平文多項式検査部４６は、m₁(t), m₂(t)が等しいか否かを判定し（ＳＴ４１）、判定結果を復号部３５に送信する。判定結果が等しい場合、復号部３５は、メモリ４１にm₁(t)＝m₂(t)なる多項式を格納し、カウンタ値kを１だけインクリメントして（ＳＴ４２）、次候補の有無を判定し（ＳＴ４３）、次候補があれば、次候補の多項式をf(t)とおいて（ＳＴ４４）、ステップＳＴ３９〜ＳＴ４３の処理を繰り返す。

ステップＳＴ４１の判定結果が等しくない場合、復号部３５は、f(t)候補が誤りであることを意味するため、ステップＳＴ４３に進んで次候補のf(t)で同様の操作を行う。

一方、ステップＳＴ４３の判定の結果、次候補が無い場合には、復号部３５は、カウンタ値kがk＝1か否（k＝0か、k＜2）かを判定する（ＳＴ４５）。

ステップＳＴ４５の判定の結果、k＝0か、k＜2の場合には、正しい候補が全くないか、２つ以上存在することを意味するため、復号処理の失敗であるから、エラーを出力して復号処理を終了する（ＳＴ４６）。

ステップＳＴ４５の判定の結果、k＝1の場合には、正しいf(t)が１つだけ見つかったことを意味するため、復号部３５は、メモリ４１に格納したm(t)を平文多項式として、平文展開部３６へ送信する。平文展開部３６は、平文多項式m(t)を展開し（ＳＴ４７）、得られた平文mを平文出力部３７に送出する。平文出力部３７は、この平文mを出力することにより（ＳＴ４８）、復号処理を終了する。

上述したように本実施形態によれば、暗号文Fに含まれる２つの乗算結果X(x, y, t)r(x, y, t)及びf(t)s(x, y, t)が、それぞれx, yの多項式として見たときの変数xⁱy^jについての同類項から構成される。これにより、一方の乗算結果X(x, y, t)r(x, y, t)にはあるが、他方の乗算結果f(t)s(x, y, t)には無いという項を解析する手法を用いても、各項の見分けがつかず、r(x, y, t)の一部が漏洩することがない。

第３のバリエーションは、復号処理のみに関連するバリエーションである。図９のステップＳＴ４１’に示すように、m₁(t)＝m₂(t)となるf(t)が発見された時点で、復号部３５は、m₁(t)を平文展開部３６に送信する。また、復号部３５は、m₁(t)＝m₂(t)でないときには次候補の有無を判定し（ＳＴ４３’）、次候補が無いときにはエラーを出力して処理を終了する。第３のバリエーションによれば、m₁(t)＝m₂(t)の判定対象が減るので、復号処理の一部（ＳＴ３８，ＳＴ４２，ＳＴ４５）を削減することが可能となるだけでなく、m₁(t)＝m₂(t)が成立した時点で残りのf(t)の候補に関して同様の処理を行なう必要がなる。

補足すると、復号処理において、式(4)からh₁(t)−h₂(t)を因数分解して、次数がL以上の因数を取得する際にf(t)の候補が複数ある場合、本実施形態では全ての候補に関して、２つの剰余m₁(t)とm₂(t)を比較して、１つの候補のみが一致することを確認して、平文多項式を決定していた。しかし、（本実施形態でも述べた通り）２つ以上の候補がそれぞれ別々の平文多項式として一致することは無視できるほど小さい確率だと考えられるため、m₁(t)とm₂(t)が一致する候補があった場合に、それをf(t)と考えて対応するm₁(t)に対して平文多項式処理を進めても誤った平文となる確率は無視できる程度である。また、このように構成することで、復号処理の一部を削減することが可能になるばかりでなく、他の（無視できる確率を除いて正しいf(t)とならない）f(t)の候補に関して同様の処理を行なう必要がなくなるため、平文多項式検査処理の回数を平均して半分程度に減らすことが可能となる。

（第２の実施形態）
（概要）
次に、本発明の第２の実施形態について説明する。本実施形態のシステムパラメータは、第１の実施形態と同じく
1. 素体の標数p
2. F_p上の１変数既約多項式f(t)の次数L
である。また、公開鍵は
1. F_p上の代数曲面Xのファイブレーション:X(x, y, t)
である。秘密鍵は
1. F_p上の代数曲面Xのセクション:D:(x, y, t)＝(u_x(t), u_y(t), t)
である。第２の実施形態は、第１の実施形態と比較し、秘密鍵であるセクションが１つであることが大きく異なる。第２の実施形態は、このため、秘密鍵のサイズが小さくなる上、鍵生成の自由度が増えるという効果がある。

（暗号化処理）
本実施形態における暗号化処理の概要を述べる。暗号処理は第１の実施形態とほぼ同じであるが、１つの暗号文F(x, y, t)を生成した第１の実施形態とは異なり、第２の実施形態では、２つの暗号文F₁(x, y, t), F₂(x, y, t)を生成する。

具体的には、第２の実施形態は、共通のf(t)を用いて、第１の実施形態と同様の手段で異なる２つのランダムな３変数多項式の組(s₁(x, y, t), s₂(x, y, t))と(r₁(x, y, t), r₂(x, y, t))を生成して２つの暗号文F₁(x, y, t), F₂(x, y, t)を次式のように生成する。

F₁(x, y, t)＝m(t)＋f(t)s₁(x, y, t)＋X(x, y, t)r₁(x, y, t)
F₂(x, y, t)＝m(t)＋f(t)s₂(x, y, t)＋X(x, y, t)r₂(x, y, t)
受信者は、暗号文F₁(x, y, t), F₂(x, y, t)を受けると、所有する秘密鍵Dを利用して次のように復号を行う。まず、セクションDを暗号文F₁(x, y, t), F₂(x, y, t)に代入することにより第１の実施形態と同様の考え方で次の２式h₁(t), h₂(t)を求める。

h₁(t)＝F₁(u_x(t), u_y(t), t)＝m(t)＋f(t)s₁(u_x(t), u_y(t), t)
h₂(t)＝F₂(u_x(t), u_y(t), t)＝m(t)＋f(t)s₂(u_x(t), u_y(t), t)
次に、２式を辺々引き算して次式h₁(t)−h₂(t)を計算する。

h₁(t)−h₂(t)＝f(t){s₁(u_x(t), u_y(t), t)−s₂(u_x(t), u_y(t), t)}
しかる後、h₁(t)−h₂(t)を因数分解して、最大次数を持つ因数をf(t)と定める。この後の処理は第１の実施形態と同じであるので説明を省略する。

（鍵生成処理）
最後に本実施形態における鍵生成方法を説明する。本実施形態の鍵生成は第１の実施形態と同様にセクションDをランダムに選び、それに対応したファイブレーションを計算することによって行う。

但し、本実施形態では第１の実施形態と異なり１つのセクションを満たすように構成すれば良く、第１の実施形態よりも容易にしかも自由度の高い鍵が生成される。

ここでは代数曲面のうち以下のような代数曲面を例にとって鍵生成方法を示す。

Xt: y³＝x³＋ξ₁(t)x²y＋ξ₂(t)xy²＋ξ₃(t)y＋ξ₄(t)
ここでξ₁(t), ξ₂(t), ξ₃(t), ξ₄(t)は１変数多項式である。まず、素体の標数pを決める。このときpは小さくても安全性に問題は生じない。さて、セクションDを
D:(x, y, t)＝(u_x(t), u_y(t), t)
とおき、定数項以外の１変数多項式ξ₁(t), ξ₂(t), ξ₃(t)をランダムに定め、これらξ₁(t), ξ₂(t), ξ₃(t)とセクションDを代数曲面Xtに代入することで

によりξ₄(t)を得る。

また、第１の実施形態で述べた第１〜第３のバリエーションは本実施形態でも同様に成立する。

（安全性の検討）
以下ではこのように構成した本実施形態の公開鍵暗号の安全性に関して考察する。基本的に第１の実施形態における安全性の検討がそのまま本実施形態の安全性の検討となる。第１の実施形態と異なるのは暗号文が２つあることであり、この部分の安全性に関して考察を行う。暗号文F₁(x, y, t), F₂(x, y, t)の引き算を行うと以下のようになる。

この式では、平文多項式m(t)は消去されるもののs₁(x, y, t)≠s₂(x, y, t) 若しくはr₁(x, y, t)≠r₂(x, y, t)である。ここで、３変数多項式の因数分解が必ずしも一意的でないことから、その因子等からもほとんど情報が得られない。

（第２の実施形態の具体的な構成）
次に、本発明の第２の実施形態について具体的に説明する。暗号装置１０及び復号装置３０は、それぞれ第１の実施形態と同様のハードウエア構成を備えているため、前述した図２及び図３を参照して述べる。

本実施形態は、第１の実施形態の変形形態であり、１つのセクションDと、２つの暗号文F₁(x, y, t), F₂(x, y, t)とを用いる点で第１の実施形態とは異なっている。そこで、以下の説明は、第１の実施形態と異なる部分について主に述べる。

具体的には暗号化部１６は、平文埋め込み部１３から受けた平文多項式ｍ(t)及び公開鍵入力部１４から受けた公開鍵Ｘ(x,y,t)に基づいて、図１０〜図１４に示す動作を実行するように、後段の各部１７，２０〜２５を制御するものであり、特に、平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、平文多項式m(t)から暗号文F₁＝E_pk(m, s₁, r₁, f, X)＝F₁(x, y, t)を生成する機能とをもっている。

また暗号化部１６は、平文多項式m(t)に対し、同様に、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、平文多項式m(t)から暗号文F₂＝E_pk(m, s₂, r₂, f, X)＝F₂(x, y, t)を生成する機能をもっている。

暗号文入力部３３は、外部から入力された暗号文F₁(x, y, t), F₂(x, y, t)を復号部３５に送出する機能をもっている。

復号部３５は、図１５〜図１６に示す動作を実行するように、後段の各部３６，４０〜４６を制御する機能をもっている。

セクション代入部４２は、復号部３５に制御され、入力された暗号文F₁(x, y, t), F₂(x, y, t)に対し、セクションDを代入して２つの１変数多項式ｈ₁(t),ｈ₂(t)を生成する機能をもっている。

次に、以上のように構成された暗号装置及び復号装置の動作を図１０乃至図１６のフローチャートを用いて説明する。

（暗号化処理：図１０乃至図１４）
暗号装置１０においては、前述同様に、ステップＳＴ１〜ＳＴ７を実行し、公開鍵X(x, y, t)の係数c_ij(t)におけるｔの次数の最小値d_tを求める。

続いて、暗号装置１０においては、前述したステップＳＴ８〜ＳＴ１７と同様の処理により、３変数多項式r₁(x, y, t)を生成し（ＳＴ８ａ〜ＳＴ１７ａ）、前述したステップＳＴ１８〜ＳＴ２７と同様の処理により、３変数多項式s₁(x, y, t)を生成する（ＳＴ１８ａ〜ＳＴ２７ａ）。また、暗号装置１０においては、暗号化部１６がm(t), f(t), s₁(x, y, t), r₁(x, y, t), X(x, y, t)に基づいて、前述したステップＳＴ２８と同様の処理により、第１の暗号文F₁(x, y, t)を生成する（ＳＴ２８ａ）。

次に、暗号装置１０においては、前述したステップＳＴ９〜ＳＴ１７と同様の処理により、３変数多項式r₂(x, y, t)を生成し（ＳＴ９ｂ〜ＳＴ１７ｂ）、前述したステップＳＴ１８〜ＳＴ２７と同様の処理により、３変数多項式s₂(x, y, t)を生成する（ＳＴ１８ｂ〜ＳＴ２７ｂ）。しかる後、暗号装置１０においては、暗号化部１６がm(t), f(t), s₂(x, y, t), r₂(x, y, t), X(x, y, t)に基づいて、前述したステップＳＴ２８と同様の処理により、第２の暗号文F₂(x, y, t)を生成する（ＳＴ２８ｂ）。

暗号化部１６は、この暗号文F₁(x, y, t), F₂(x, y, t)を（必要ならば予め定められたフォーマットに合わせて変形し）暗号文出力部１７から出力し（ＳＴ２９ａｂ）、暗号化処理を終了する。

（復号処理：図１５及び図１６）
復号装置３０においては、暗号文入力部３３から２つの暗号文F₁(x, y, t), F₂(x, y, t)を取得し（ＳＴ３１”）、鍵入力部３４から公開鍵X(x, y, t)と秘密鍵を取得し（ＳＴ３２”）、パラメータ格納部３１からp, Lを取得することから復号処理を開始する。ここで、秘密鍵とは１つのセクションDである。取得された暗号文と鍵情報等は復号部３５に送られる。

続いて、復号部３５は、セクション代入部４２に暗号文F₁(x, y, t)とセクションDを送信する。セクション代入部４２は、DをF₁(x, y, t)に代入し、必要に応じて１変数多項式演算部４３を利用することにより、h₁(t)を得る（ＳＴ３３”）。ここで、１変数多項式演算部４３は１変数多項式の加減乗除演算を行う。得られたh₁(t)は、セクション代入部４２から復号部３５に送出される。

また同様に、復号部３５は、セクション代入部４２に暗号文F₂(x, y, t)とセクションDを送信する。セクション代入部４２は、セクションDをF₂(x, y, t)に代入し、h₂(t)を得る（ＳＴ３４）。得られたh₂(t)は、セクション代入部４２から復号部３５に送出される。

以下、前述同様に、復号装置３０は、ステップＳＴ３５〜ＳＴ４８を実行することにより、復号した平文mを出力する。

上述したように本実施形態によれば、１つのセクションDと２つの暗号文F₁(x, y, t), F₂(x, y, t)を用いる場合であっても、第１の実施形態と同様にして各暗号文F₁(x, y, t), F₂(x, y, t)が構成されるので、暗号文F₁, F₂を解析しても、f(t)やr₁(x, y, t), r₂(x, y, t)の一部が漏洩することがない。従って、代数曲面を用いた公開鍵暗号におけるランダム化多項式の漏洩を阻止することができる。

＜第２の実施形態のバリエーション＞
第１の実施形態で述べた第１のバリエーションと第２のバリエーションは、本実施形態でも同様に実行することができる。また、第３のバリエーションに関しては、図１７のステップＳＴ３３”，ＳＴ３４”に示すように、第１の実施形態の第３のバリエーションから若干の変形を施して同様に実行することができる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

一般的な代数曲線を説明するための模式図である。本発明の第１の実施形態に係る暗号装置の全体構成図である。同実施形態における復号装置の全体構成図である。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における復号装置の動作を説明するためのフローチャートである。同実施形態における復号装置の動作を説明するためのフローチャートである。同実施形態における復号処理のバリエーションを説明するためのフローチャートである。本発明の第２の実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における暗号装置の動作を説明するためのフローチャートである。同実施形態における復号装置の動作を説明するためのフローチャートである。同実施形態における復号装置の動作を説明するためのフローチャートである。同実施形態における復号処理のバリエーションを説明するためのフローチャートである。

符号の説明

１０…暗号装置、１１…システムパラメータ格納部、１２，２１，３２，４１…メモリ、１３…平文入力部、１４…公開鍵入力部、１５…平文埋め込み部、１６…暗号化部、１７…暗号文出力部、２０…演算部、２２…１変数既約多項式生成部、２３…第１多項式生成部、２４…ランダム値生成部、２５…第２多項式生成部、３０…復号装置、３１…パラメータ格納部、３３…暗号文入力部、３４…鍵入力部、３５…復号部、３６…平文展開部、３７…平文出力部、４０…演算部、４２…セクション代入部、４３…１変数多項式演算部、４４…１変数多項式因数分解部、４５…１変数多項式剰余演算部、４６…平文多項式検査部。

Claims

代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置であって、
メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込む平文埋め込み手段と、
次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段と、
「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r(x, y, t)、s(x, y, t)を生成する多項式生成手段と、
前記平文多項式m(t)に対し、前記乗算結果X(x, y, t)r(x, y, t)と、前記乗算結果f(t)s(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)を生成する暗号化手段と
を備えたことを特徴とする暗号装置。
請求項１に記載の暗号装置において、
前記多項式生成手段は、
前記１変数既約多項式f(t)の次数L₀を取得する次数取得手段と、
前記ファイブレーションX(x, y, t)をx, yの２変数多項式Σc_ij(t)xⁱy^jとしたとき、前記係数c_ij(t)の次数の最小値d_tを選択する最小値選択手段と、
３変数多項式r(x, y, t)をxとyの多項式としたとき、前記多項式r(x, y, t)に含まれる複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１定数項算出手段と、
前記複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)以外の変数項r_ij(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１変数項算出手段と、
前記定数項r₀₀(t)及び前記変数項r_ij(t)xⁱy^jを足し合わせて、前記３変数多項式r(x, y, t)を算出する第１多項式算出手段と、
前記ファイブレーションX(x, y, t)と当該３変数多項式r(x, y, t)とを乗算し、乗算結果X(x, y, t)r(x, y, t)を得る多項式乗算手段と、
３変数多項式s(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r(x, y, t)に含まれる複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)のｔの次数deg_t s’₀₀(t)に基づいて、前記多項式s(x, y, t)の定数項s₀₀(t)を、tの次数がdeg_t s’₀₀(t)−L₀となる範囲でランダムに算出する第２定数項算出手段と、
前記複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)以外の変数項s’_ij(t)xⁱy^jに基づいて、前記多項式s(x, y, t)の変数項s_ij(t)xⁱy^jを、tの次数がdeg_t s’_ij(t)−L₀となる範囲でランダムに算出する第２変数項算出手段と、
前記定数項s₀₀(t)及び前記変数項s_ij(t)xⁱy^jを足し合わせて、前記３変数多項式s(x, y, t)を算出する第２多項式算出手段と
を備えたことを特徴とする暗号装置。
代数曲面XのファイブレーションX(x, y, t)に対応するセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置であって、
メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込む平文埋め込み手段と、
次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段と、
「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₁(x, y, t)、s₁(x, y, t)を生成する第１多項式生成手段と、
前記平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₁(x, y, t)と、前記乗算結果f(t)s₁(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第１暗号文F₁＝E_pk(m, s₁, r₁, f, X)を生成する第１暗号化手段と、
「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₂(x, y, t)、s₂(x, y, t)を生成する第２多項式生成手段と、
前記平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₂(x, y, t)と、前記乗算結果f(t)s₂(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第２暗号文F₂＝E_pk(m, s₂, r₂, f, X)を生成する第２暗号化手段と
を備えたことを特徴とする暗号装置。
請求項３に記載の暗号装置において、
前記第１多項式生成手段は、
前記１変数既約多項式f(t)の次数L₀を取得する次数取得手段と、
前記ファイブレーションX(x, y, t)をx, yの２変数多項式Σc_ij(t)xⁱy^jとしたとき、前記係数c_ij(t)の次数の最小値d_tを選択する最小値選択手段と、
３変数多項式r₁(x, y, t)をxとyの多項式としたとき、前記多項式r₁(x, y, t)に含まれる複数の単項式r_{1_ij}(t)xⁱy^jのうちの定数項r_{1_00}(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１定数項算出手段と、
前記複数の単項式r_{1_ij}(t)xⁱy^jのうちの定数項r_{1_00}(t)以外の変数項r_{1_ij}(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１変数項算出手段と、
前記定数項r_{1_00}(t)及び前記変数項r_{1_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式r₁(x, y, t)を算出する第１多項式算出手段と、
前記ファイブレーションX(x, y, t)と当該３変数多項式r₁(x, y, t)とを乗算し、乗算結果X(x, y, t)r₁(x, y, t)を得る第１多項式乗算手段と、
３変数多項式s₁(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r₁(x, y, t)に含まれる複数の単項式s₁’_ij(t)xⁱy^jのうちの定数項s₁’₀₀(t)のｔの次数deg_t s₁’₀₀(t)に基づいて、前記多項式s₁(x, y, t)の定数項s_{1_00}(t)を、tの次数がdeg_t s₁’₀₀(t)−L₀となる範囲でランダムに算出する第２定数項算出手段と、
前記複数の単項式s₁’_ij(t)xⁱy^jのうちの定数項s_{1_00}(t)以外の変数項s₁’_ij(t)xⁱy^jに基づいて、前記多項式s₁(x, y, t)の変数項s_{1_ij}(t)xⁱy^jを、tの次数がdeg_t s₁’_ij(t)−L₀となる範囲でランダムに算出する第２変数項算出手段と、
前記定数項s_{1_00}(t)及び前記変数項s_{1_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式s₁(x, y, t)を算出する第２多項式算出手段とを備えており
前記第２多項式生成手段は、
前記３変数多項式r₁(x, y, t)とは異なる３変数多項式r₂(x, y, t)をxとyの多項式としたとき、前記多項式r₂(x, y, t)に含まれる複数の単項式r_{2_ij}(t)xⁱy^jのうちの定数項r_{2_00}(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第３定数項算出手段と、
前記複数の単項式r_{2_ij}(t)xⁱy^jのうちの定数項r_{2_00}(t)以外の変数項r_{2_ij}(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第３変数項算出手段と、
前記定数項r_{2_00}(t)及び前記変数項r_{2_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式r₂(x, y, t)を算出する第３多項式算出手段と、
前記ファイブレーションX(x, y, t)と当該３変数多項式r₂(x, y, t)とを乗算し、乗算結果X(x, y, t)r₂(x, y, t)を得る第２多項式乗算手段と、
３変数多項式s₂(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r₂(x, y, t)に含まれる複数の単項式s₂’_ij(t)xⁱy^jのうちの定数項s₂’₀₀(t)のｔの次数deg_t s₂’₀₀(t)に基づいて、前記多項式s₂(x, y, t)の定数項s_{2_00}(t)を、tの次数がdeg_t s₂’₀₀(t)−L₀となる範囲でランダムに算出する第４定数項算出手段と、
前記複数の単項式s₂’_ij(t)xⁱy^jのうちの定数項s_{2_00}(t)以外の変数項s₂’_ij(t)xⁱy^jに基づいて、前記多項式s₂(x, y, t)の変数項s_{2_ij}(t)xⁱy^jを、tの次数がdeg_t s₂’_ij(t)−L₀となる範囲でランダムに算出する第４変数項算出手段と、
前記定数項s_{2_00}(t)及び前記変数項s_{2_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式s₂(x, y, t)を算出する第４多項式算出手段と
を備えたことを特徴とする暗号装置。
代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置であって、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)が入力される暗号文入力手段と、
前記入力された暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、
前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、
前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段と、
前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段と
を備えたことを特徴とする復号装置。
代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置であって、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)が入力される暗号文入力手段と、
前記入力された暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、
前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、
前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力手段と
を備えたことを特徴とする復号装置。
代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置であって、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)が入力される第１暗号文入力手段と、
前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)が入力される第２暗号文入力手段と、
入力された複数の暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、
前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、
前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段と、
前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段と
を備えたことを特徴とする復号装置。
代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置であって、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)が入力される第１暗号文入力手段と、
前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)が入力される第２暗号文入力手段と、
入力された複数の暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段と、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段と、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段と、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段と、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段と、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段と、
前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段と、
前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力手段と
を備えたことを特徴とする復号装置。
メモリを有する暗号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための前記暗号装置のプログラムであって、
前記暗号装置のコンピュータを、
メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込むことにより、平文多項式m(t)を得る平文埋め込み手段、
前記平文埋め込み手段により得られた平文多項式m(t)を前記メモリに書き込む書込手段、
次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段、
「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r(x, y, t)、s(x, y, t)を生成する多項式生成手段、
前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r(x, y, t)と、前記乗算結果f(t)s(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)を生成する暗号化手段、
として機能させるためのプログラム。
請求項９に記載のプログラムにおいて、
前記多項式生成手段は、
前記１変数既約多項式f(t)の次数L₀を取得する次数取得手段、
前記ファイブレーションX(x, y, t)をx, yの２変数多項式Σc_ij(t)xⁱy^jとしたとき、前記係数c_ij(t)の次数の最小値d_tを選択する最小値選択手段、
３変数多項式r(x, y, t)をxとyの多項式としたとき、前記多項式r(x, y, t)に含まれる複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１定数項算出手段、
前記複数の単項式r_ij(t)xⁱy^jのうちの定数項r₀₀(t)以外の変数項r_ij(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１変数項算出手段、
前記定数項r₀₀(t)及び前記変数項r_ij(t)xⁱy^jを足し合わせて、前記３変数多項式r(x, y, t)を算出する第１多項式算出手段、
前記ファイブレーションX(x, y, t)と当該３変数多項式r(x, y, t)とを乗算し、乗算結果X(x, y, t)r(x, y, t)を得る多項式乗算手段、
３変数多項式s(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r(x, y, t)に含まれる複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)のｔの次数deg_t s’₀₀(t)に基づいて、前記多項式s(x, y, t)の定数項s₀₀(t)を、tの次数がdeg_t s’₀₀(t)−L₀となる範囲でランダムに算出する第２定数項算出手段、
前記複数の単項式s’_ij(t)xⁱy^jのうちの定数項s’₀₀(t)以外の変数項s’_ij(t)xⁱy^jに基づいて、前記多項式s(x, y, t)の変数項s_ij(t)xⁱy^jを、tの次数がdeg_t s’_ij(t)−L₀となる範囲でランダムに算出する第２変数項算出手段、
前記定数項s₀₀(t)及び前記変数項s_ij(t)xⁱy^jを足し合わせて、前記３変数多項式s(x, y, t)を算出する第２多項式算出手段、
として前記コンピュータを機能させるためのプログラム。
メモリを有する暗号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応するセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための前記暗号装置のプログラムであって、
前記暗号装置のコンピュータを、
メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込むことにより、平文多項式m(t)を得る平文埋め込み手段、
前記平文埋め込み手段により得られた平文多項式m(t)を前記メモリに書き込む書込手段、
次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成手段、
ランダム３変数多項式r₁(x, y, t)、s₁(x, y, t)を「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₁(x, y, t)、s₁(x, y, t)を生成する第１多項式生成手段、
前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₁(x, y, t)と、前記乗算結果f(t)s₁(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第１暗号文F₁＝E_pk(m, s₁, r₁, f, X)を生成する第１暗号化手段、
「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₂(x, y, t)、s₂(x, y, t)を生成する第２多項式生成手段、
前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₂(x, y, t)と、前記乗算結果f(t)s₂(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第２暗号文F₂＝E_pk(m, s₂, r₂, f, X)を生成する第２暗号化手段、
として機能させるためのプログラム。
請求項１１に記載のプログラムにおいて、
前記第１多項式生成手段は、
前記１変数既約多項式f(t)の次数L₀を取得する次数取得手段、
前記ファイブレーションX(x, y, t)をx, yの２変数多項式Σc_ij(t)xⁱy^jとしたとき、前記係数c_ij(t)の次数の最小値d_tを選択する最小値選択手段、
３変数多項式r₁(x, y, t)をxとyの多項式としたとき、前記多項式r₁(x, y, t)に含まれる複数の単項式r_{1_ij}(t)xⁱy^jのうちの定数項r_{1_00}(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１定数項算出手段、
前記複数の単項式r_{1_ij}(t)xⁱy^jのうちの定数項r_{1_00}(t)以外の変数項r_{1_ij}(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第１変数項算出手段、
前記定数項r_{1_00}(t)及び前記変数項r_{1_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式r₁(x, y, t)を算出する第１多項式算出手段、
前記ファイブレーションX(x, y, t)と当該３変数多項式r₁(x, y, t)とを乗算し、乗算結果X(x, y, t)r₁(x, y, t)を得る第１多項式乗算手段、
３変数多項式s₁(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r₁(x, y, t)に含まれる複数の単項式s₁’_ij(t)xⁱy^jのうちの定数項s₁’₀₀(t)のｔの次数deg_t s₁’₀₀(t)に基づいて、前記多項式s₁(x, y, t)の定数項s_{1_00}(t)を、tの次数がdeg_t s₁’₀₀(t)−L₀となる範囲でランダムに算出する第２定数項算出手段、
前記複数の単項式s₁’_ij(t)xⁱy^jのうちの定数項s_{1_00}(t)以外の変数項s₁’_ij(t)xⁱy^jに基づいて、前記多項式s₁(x, y, t)の変数項s_{1_ij}(t)xⁱy^jを、tの次数がdeg_t s₁’_ij(t)−L₀となる範囲でランダムに算出する第２変数項算出手段、
前記定数項s_{1_00}(t)及び前記変数項s_{1_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式s₁(x, y, t)を算出する第２多項式算出手段、として前記コンピュータを機能させ、
前記第２多項式生成手段は、
前記３変数多項式r₁(x, y, t)とは異なる３変数多項式r₂(x, y, t)をxとyの多項式としたとき、前記多項式r₂(x, y, t)に含まれる複数の単項式r_{2_ij}(t)xⁱy^jのうちの定数項r_{2_00}(t)を、tの次数がL₀−d_t以上となる範囲でランダムに算出する第３定数項算出手段、
前記複数の単項式r_{2_ij}(t)xⁱy^jのうちの定数項r_{2_00}(t)以外の変数項r_{2_ij}(t)xⁱy^jを、tの次数がL₀−d_t以上となる範囲でランダムに算出する第３変数項算出手段、
前記定数項r_{2_00}(t)及び前記変数項r_{2_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式r₂(x, y, t)を算出する第３多項式算出手段、
前記ファイブレーションX(x, y, t)と当該３変数多項式r₂(x, y, t)とを乗算し、乗算結果X(x, y, t)r₂(x, y, t)を得る第２多項式乗算手段、
３変数多項式s₂(x, y, t)をxとyの多項式としたとき、前記乗算結果X(x, y, t)r₂(x, y, t)に含まれる複数の単項式s₂’_ij(t)xⁱy^jのうちの定数項s₂’₀₀(t)のｔの次数deg_t s₂’₀₀(t)に基づいて、前記多項式s₂(x, y, t)の定数項s_{2_00}(t)を、tの次数がdeg_t s₂’₀₀(t)−L₀となる範囲でランダムに算出する第４定数項算出手段、
前記複数の単項式s₂’_ij(t)xⁱy^jのうちの定数項s_{2_00}(t)以外の変数項s₂’_ij(t)xⁱy^jに基づいて、前記多項式s₂(x, y, t)の変数項s_{2_ij}(t)xⁱy^jを、tの次数がdeg_t s₂’_ij(t)−L₀となる範囲でランダムに算出する第４変数項算出手段、
前記定数項s_{2_00}(t)及び前記変数項s_{2_ij}(t)xⁱy^jを足し合わせて、前記３変数多項式s₂(x, y, t)を算出する第４多項式算出手段、
として機能させるためのプログラム。
メモリを有する復号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置のプログラムであって、
前記復号装置のコンピュータを、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)が入力される暗号文入力手段、
前記入力された暗号文Ｆを前記メモリに書き込む手段、
前記メモリ内の暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段、
前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段、
前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段、
前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段、
として機能させるためのプログラム。
メモリを有する復号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置のプログラムであって、
前記復号装置のコンピュータを、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)が入力される暗号文入力手段、
前記入力された暗号文Ｆを前記メモリに書き込む手段、
前記メモリ内の暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段、
前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段、
前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力手段、
として機能させるためのプログラム。
メモリを有する復号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置のプログラムであって、
前記復号装置のコンピュータを、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)が入力される第１暗号文入力手段、
前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)が入力される第２暗号文入力手段、
入力された複数の暗号文F₁, F₂を前記メモリに書き込む手段、
前記メモリ内の各暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段、
前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段、
前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算手段を制御する制御手段、
前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力手段、
として機能させるためのプログラム。
メモリを有する復号装置に用いられ、代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置のプログラムであって、
前記復号装置のコンピュータを、
メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)が入力される第１暗号文入力手段、
前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)が入力される第２暗号文入力手段、
入力された複数の暗号文F₁, F₂を前記メモリに書き込む手段、
前記メモリ内の各暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入手段、
前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算手段、
前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解手段、
因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出手段、
抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算手段、
前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査手段、
前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開手段、
前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力手段、
として機能させるためのプログラム。
平文埋め込み手段、メモリ、既約多項式生成手段、多項式生成手段及び暗号化手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置が実行する暗号方法であって、
前記平文埋め込み手段が、メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込むことにより、平文多項式m(t)を得る平文埋め込み工程と、
前記暗号化手段が、前記平文多項式m(t)を前記メモリに書き込む工程と、
前記既約多項式生成手段が、次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成工程と、
前記多項式生成手段が、「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r(x, y, t)、s(x, y, t)を生成する多項式生成工程と、
前記暗号化手段が、前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r(x, y, t)と、前記乗算結果f(t)s(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から暗号文F＝E_pk(m, s, r, f, X)を生成する暗号化工程と
を備えたことを特徴とする暗号方法。
平文埋め込み手段、メモリ、既約多項式生成手段、第１多項式生成手段、第１暗号化手段、第２多項式生成手段及び第２暗号化手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応するセクションが秘密鍵のとき、前記ファイブレーションX(x, y, t)である公開鍵に基づいて、メッセージmを暗号化するための暗号装置が実行する暗号方法であって、
前記平文埋め込み手段が、メッセージmを１変数tで次数L−1以下の平文多項式m(t)の係数として埋め込むことにより、平文多項式m(t)を得る平文埋め込み工程と、
前記第１暗号化手段が、前記平文多項式m(t)を前記メモリに書き込む工程と、
前記既約多項式生成手段が、次数L以上のランダムな１変数既約多項式f(t)を生成する既約多項式生成工程と、
前記第１多項式生成手段が、「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₁(x, y, t)、s₁(x, y, t)を生成する第１多項式生成工程と、
前記第１暗号化手段が、前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₁(x, y, t)と、前記乗算結果f(t)s₁(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第１暗号文F₁＝E_pk(m, s₁, r₁, f, X)を生成する第１暗号化工程と、
前記第２多項式生成手段が、「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを互いにx, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成するように、ランダム３変数多項式r₂(x, y, t)、s₂(x, y, t)を生成する第２多項式生成工程と、
前記第２暗号化手段が、前記メモリ内の平文多項式m(t)に対し、前記乗算結果X(x, y, t)r₂(x, y, t)と、前記乗算結果f(t)s₂(x, y, t)とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により、前記平文多項式m(t)から第２暗号文F₂＝E_pk(m, s₂, r₂, f, X)を生成する第２暗号化工程と
を備えたことを特徴とする暗号方法。
暗号文入力手段、セクション代入手段、多項式減算手段、因数分解手段、多項式抽出手段、剰余演算手段、平文多項式検査手段、展開手段、制御手段及びエラー出力手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置が実行する復号方法であって、
前記暗号文入力手段が、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)の入力を受け付ける暗号文入力工程と、
前記セクション代入手段が、前記受け付けられた暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入工程と、
前記多項式減算手段が、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算工程と、
前記因数分解手段が、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解工程と、
前記多項式抽出手段が、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出工程と、
前記剰余演算手段が、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算工程と、
前記平文多項式検査手段が、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査工程と、
前記展開手段が、前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開工程と、
前記制御手段が、前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算工程を制御する制御工程と、
前記エラー出力手段が、前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力工程と
を備えたことを特徴とする復号方法。
暗号文入力手段、セクション代入手段、多項式減算手段、因数分解手段、多項式抽出手段、剰余演算手段、平文多項式検査手段、展開手段及びエラー出力手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応する２つ以上のセクションD₁, D₂である秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された暗号文Fから、メッセージmを復号するための復号装置が実行する復号方法であって、
前記暗号文入力手段が、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r(x, y, t)との乗算結果X(x, y, t)r(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s(x, y, t)との乗算結果f(t)s(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F＝E_pk(m, s, r, f, X)の入力を受け付ける暗号文入力工程と、
前記セクション代入手段が、前記受け付けられた暗号文Ｆに対し、前記各セクションD₁, D₂を代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入工程と、
前記多項式減算手段が、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算工程と、
前記因数分解手段が、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解工程と、
前記多項式抽出手段が、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出工程と、
前記剰余演算手段が、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算工程と、
前記平文多項式検査手段が、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査工程と、
前記展開手段が、前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開工程と、
前記エラー出力手段が、前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力工程と
を備えたことを特徴とする復号方法。
第１暗号文入力手段、第２暗号文入力手段、セクション代入手段、多項式減算手段、因数分解手段、多項式抽出手段、剰余演算手段、平文多項式検査手段、展開手段、制御手段及びエラー出力手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置が実行する復号方法であって、
前記第１暗号文入力手段が、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)の入力を受け付ける第１暗号文入力工程と、
前記第２暗号文入力手段が、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)の入力を受け付ける第２暗号文入力工程と、
前記セクション代入手段が、前記受け付けられた複数の暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入工程と、
前記多項式減算手段が、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算工程と、
前記因数分解手段が、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解工程と、
前記多項式抽出手段が、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出工程と、
前記剰余演算手段が、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算工程と、
前記平文多項式検査手段が、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査工程と、
前記展開手段が、前記検査の結果、両者が一致する場合、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開工程と、
前記制御手段が、前記検査の結果、否の場合には、抽出された他の既約多項式f(t)により前記除算を実行するように前記剰余演算工程を制御する制御工程と、
前記エラー出力手段が、前記検査の結果、否の場合で且つ他の既約多項式f(t)が無い場合には、エラーを出力するエラー出力工程と
を備えたことを特徴とする復号方法。
第１暗号文入力手段、第２暗号文入力手段、セクション代入手段、多項式減算手段、因数分解手段、多項式抽出手段、剰余演算手段、平文多項式検査手段、展開手段及びエラー出力手段を備え、代数曲面XのファイブレーションX(x, y, t)に対応するセクションDである秘密鍵に基づいて、前記ファイブレーションX(x, y, t)である公開鍵により生成された複数の暗号文F₁, F₂から、メッセージmを復号するための復号装置が実行する復号方法であって、
前記第１暗号文入力手段が、メッセージmが１変数tで次数(L−1)以下の平文多項式m(t)の係数として埋め込まれた平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₁(x, y, t)との乗算結果X(x, y, t)r₁(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₁(x, y, t)との乗算結果f(t)s₁(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₁＝E_pk(m, s₁, r₁, f, X)の入力を受け付ける第１暗号文入力工程と、
前記第２暗号文入力手段が、前記平文多項式m(t)に対し、x, yの多項式として見たときの変数xⁱy^jについての同類項（但し、i, jは０以上の次数）から構成される「前記ファイブレーションX(x, y, t)と３変数多項式r₂(x, y, t)（≠r₁(x, y, t)）との乗算結果X(x, y, t)r₂(x, y, t)」と、「次数L以上のランダムな１変数既約多項式f(t)と３変数多項式s₂(x, y, t)との乗算結果f(t)s₂(x, y, t)」とを用いて、加算及び減算のうち少なくとも加算を行う暗号化処理により生成された前記暗号文F₂＝E_pk(m, s₂, r₂, f, X)の入力を受け付ける第２暗号文入力工程と、
前記セクション代入手段が、前記受け付けられた複数の暗号文F₁, F₂に対し、前記セクションDを代入して２つの１変数多項式h₁(t), h₂(t)を生成するセクション代入工程と、
前記多項式減算手段が、前記各１変数多項式h₁(t), h₂(t)を互いに減算し、減算結果{h₁(t)−h₂(t)}を得る多項式減算工程と、
前記因数分解手段が、前記減算結果{h₁(t)−h₂(t)}を因数分解する因数分解工程と、
前記多項式抽出手段が、因数分解結果からL以上の次数を持つ全ての既約多項式f(t)を抽出する多項式抽出工程と、
前記剰余演算手段が、抽出された既約多項式f(t)で前記１変数多項式h₁(t)を除算し、剰余として多項式候補m₁(t)を得ると共に、当該既約多項式f(t)で前記１変数多項式h₂(t)を除算し、剰余として多項式候補m₂(t)を得る剰余演算工程と、
前記平文多項式検査手段が、前記多項式候補m₁(t), m₂(t)が互いに一致するか否かを検査する平文多項式検査工程と、
前記展開手段が、前記検査の結果、両者が一致する場合の既約多項式f(t)が１つだけあるとき、当該多項式候補m₁(t)又はm₂(t)からメッセージmを展開する展開工程と、
前記エラー出力手段が、前記検査の結果、両者が一致する場合の既約多項式f(t)が無いか又は２つ以上あるとき、エラーを出力するエラー出力工程と
を備えたことを特徴とする復号方法。